Un chercheur de 16 ans a découvert un bug de Microsoft et a obtenu un accès administrateur à des bases de données contenant 17 300 milliards de lignes.

Un chercheur en sécurité de 16 ans nommé Faav a découvert une faille d’authentification dans le service d’analyse Titan de Microsoft qui lui permettait d’obtenir un accès administrateur, de soumettre des requêtes SQL non autorisées sans informations d’identification valides et potentiellement d’accéder à des bases de données analytiques contenant environ 17 300 milliards de lignes stockées.

Titan est une plate-forme d’analyse interne et Redmond restreint l’accès via son interface Web aux employés de Microsoft. Faav, avec l’aide d’un hackbot IA qu’il a construit appelé Antares, a découvert qu’il pouvait accéder à l’API de Titan via un hôte Azure Cloud Services, car Titan n’avait pas vérifié la signature d’un jeton de connexion.

Microsoft a depuis verrouillé l’API et a versé à Faav une prime de 5 000 $ pour ses recherches. Il dit que la percée est survenue après 10 jours d’erreurs d’authentification, lorsqu’il est revenu sur le problème après avoir terminé ses devoirs de vendredi et a finalement réussi à exécuter SQL en tant qu’administrateur Titan après 1 heure du matin samedi.

« Il était 2 heures du matin », a déclaré Faav sur son blog à propos de ses découvertes. « Je voulais crier, ou au moins dire quelque chose à voix haute, mais mes parents dormaient. Alors je suis resté assis là à regarder 17 333 335 124 315 et j’ai vérifié à nouveau les calculs. »

Il note également qu’il a réécrit son article de blog à la demande de Microsoft, coupé des sections et des numéros, et reformulé l’impact avant la publication.

« Nous apprécions l’opportunité d’enquêter sur les conclusions rapportées par Faav », a déclaré Microsoft dans une déclaration fournie à Faav pour son blog. « Leur soumission et la divulgation coordonnée des vulnérabilités nous ont aidés à mieux protéger nos clients en renforçant nos services. Nous apprécions et apprécions la recherche en matière de sécurité dans le cadre du programme Microsoft Bug Bounty et nous sommes impatients de continuer à travailler avec Faav à l’avenir. « 

Un garçon et son robot

Les recherches ont commencé le 25 août lorsqu’Antares a découvert l’API publique de Titan. Au cours des 10 jours suivants, l’humain et le robot ont testé les contrôles d’authentification JSON Web Token (JWT) du service et les noms principaux d’utilisateur (UPN) au format courrier électronique, trouvant finalement un jeton non signé qui pourrait atteindre la recherche d’utilisateur local de Titan – mais pas un UPN reconnu par Titan.

Tôt le 5 septembre, Faav a modifié l’UPN du jeton non signé, passant d’une identité au format e-mail à une identité administrateur. Titan l’a reconnu comme un nom d’utilisateur local, l’a résolu en ID d’utilisateur local 1, qui détenait un rôle d’administrateur et lui a permis d’exécuter SQL. Ce qu’il faut retenir, selon Faav :

Titan a validé le contenu du JWT (locataire, audience, identifiant d’application, utilisateur) mais n’a jamais vérifié la signature, la partie la plus importante de tout contrôle d’authentification. Les contrôles d’authentification ressemblaient à un hôtel où chaque porte était équipée d’un lecteur de carte-clé fonctionnel, mais n’importe quelle carte-clé déverrouillait n’importe quelle pièce. Malgré toute la logique de contrôle d’accès existant dans l’application, la seule pièce manquante rendait tout cela inutile. Si vous êtes un développeur (ou un agent de codage) et que vous lisez ceci, le point le plus important à retenir de cet article est de vous assurer de vérifier avant tout les signatures lors de la création de l’authentification.

Cela a donné à Faav un accès à la base de données de métadonnées de la plate-forme de Titan, et à partir de là, il a pu interroger directement les tables d’application. Les métadonnées contenaient :

• Environ 25 000 enregistrements de comptes et de courriers électroniques.

• 17 990 enregistrements de courrier électronique d’employés.

• 15 001 dossiers d’organisations d’employés.

• 355 configurations de bases de données.

• 20 979 définitions SQL d’ensembles de données virtuels.

• 24 569 tableaux de bord, 425 891 graphiques et 27 347 définitions d’ensembles de données.

Le répertoire des utilisateurs et des utilisations de Titan a révélé les titres de poste des employés, les départements et la hiérarchie de direction, ce qui, selon le chercheur, pourrait être utile pour des attaques d’ingénierie sociale – « même si je n’ai jamais testé ni démontré cela », a-t-il ajouté.

Il a également trouvé un échantillon d’analyse Bing et testé deux lignes contenant des informations de recherche, des identifiants et des informations de localisation de haut niveau, telles que des détails au niveau du pays ou de l’État. Faav a déclaré que les valeurs de localisation ne contenaient pas les emplacements précis des utilisateurs.

17 300 milliards de lignes de données

Puis il a décroché le jackpot, en testant 56 valeurs de routage à partir d’une configuration archivée et en découvrant que 30 étaient toujours actives. « Chaque valeur de routage pointait vers une configuration backend, et chaque configuration contenait une ou plusieurs bases de données, de sorte que les 30 valeurs actives étaient résolues à travers 24 configurations vers 17 bases de données analytiques connectées couvrant 9 863 noms de tables uniques », a écrit le chasseur de bugs.

Le total s’élève à environ 17 300 milliards de lignes, ce qui, selon Faav, est une estimation du stockage dérivée des métadonnées et comprend probablement des données historiques, dupliquées et dérivées. « Mais c’est quand même un chiffre assez élevé. »

Entre le 6 et le 8 septembre, Microsoft a demandé à l’adolescent d’arrêter les tests et a demandé son adresse IP pour confirmer qu’il n’y avait aucune activité néfaste au-delà de la recherche de bug bounty.

Un jour plus tard, Redmond a verrouillé le point final et a déclaré à Faav que « le rapport a déclenché une enquête immédiate et des mesures correctives pour remédier à l’exposition restante ». Microsoft a attribué 5 000 $ au chasseur de bogues pour son travail le 17 septembre.®